CVE-2026-32595
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 2.11.40 ve altı sürümler, 3.0.0-beta1 ile 3.6.11 arasındaki sürümler ve 3.7.0-ea.1 sürümü, zamanlama saldırısı yoluyla kullanıcı adı numarasının tespit edilmesine izin veren BasicAuth ara yazılımı içermektedir. Gönderilen bir kullanıcı adı mevcut olduğunda, ara yazılım yaklaşık 166 ms süren bir bcrypt parola karşılaştırması gerçekleştirir. Kullanıcı adı mevcut olmadığında ise yanıt yaklaşık 0,6 ms içinde hemen döner. Ağ üzerinden gözlemlenebilen bu yaklaşık 298 katlık zamanlama farkı, kimliği doğrulanmamış bir saldırganın geçerli kullanıcı adlarını geçersiz olanlardan güvenilir bir şekilde ayırt etmesine olanak tanır. Bu sorun 2.11.41, 3.6.11 ve 3.7.0-ea.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.41 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.41 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.6.11, 3.7.0-ea.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.41, 3.0.0 ≤ v ≤ 3.6.11, 3.7.0 | 2.11.41 |
| github.com/traefik/traefikGo | v ≤ 1.7.34, Aralık belirtilmemiş | — |
| github.com/traefik/traefik/v2Go | v < 2.11.41 | 2.11.41 |
| github.com/traefik/traefik/v3Go | v < 3.6.11, 3.7.0-ea.1 ≤ v < 3.7.0-ea.2 | 3.6.11, 3.7.0-ea.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.